AI 코딩툴 '오픈코드' 뚫려 남의 AI 요금 수천 달러 결제, 무슨 일?

오픈소스 AI 코딩 에이전트 '오픈코드(OpenCode)'가 해킹을 당해 일부 이용자의 AI 서비스 접속 키가 노출됐다. 탈취된 키로 이용자 계정에 수백~수천 달러의 사용료가 청구됐다. 공격에 대응하던 개발팀은 분석에 쓰던 AI가 악성코드 검토를 거부해 어려움을 겪었다.

오픈코드는 개발자가 말로 지시하면 AI가 코드를 작성하고 오류를 고쳐주는 도구다. 앤트로픽의 '클로드 코드'와 '커서'의 대안으로 개발자들 사이에서 이용이 늘고 있다.

20일 업계에 따르면 오픈코드는 현지시간 17일 X(옛 트위터)를 통해 전날 밤 대규모 '증류 공격'과 관련한 보안 침해가 발생해 '오픈코드 콘솔' 이용자의 1.4%가 피해를 입었다고 밝혔다. 콘솔은 팀 단위 이용자가 오픈AI·앤트로픽·구글의 API 키를 저장해두고 함께 쓰는 웹 서비스다. 

API 키는 프로그램이 AI 모델을 불러 쓸 때 필요한 일종의 디지털 비밀번호로 사용료는 키 주인에게 청구된다. 침입자는 폐기 절차를 밟던 구형 시스템에 접근했다. 오픈코드는 피해 이용자 전원에게 이메일을 보내 각 AI 업체에서 키를 폐기하고 새로 발급받으라고 안내했다.

증류는 성능이 뛰어난 AI 모델의 답변을 대량으로 받아 다른 모델을 학습시키는 기법이다. 미국 AI 모델 이용이 제한된 국가에서는 훔친 키로 학습에 필요한 대량의 답변을 만들어낼 수 있다. 오픈코드는 구체적인 공격 방식은 밝히지 않았다. 일부 전문가들은 단순 해킹 사건이며 증류에 쓰였다는 근거는 확인되지 않았다고 지적했다.

개발자들은 밤사이 오픈AI·앤트로픽·구글의 사용량 경고 알림이 한꺼번에 울렸다며 레딧과 X에 청구 내역을 올렸다. 계정별로 수백 달러가 청구됐고 1000달러를 넘긴 사례도 나왔다. 

하룻밤 새 1700달러 이상이 결제된 이용자도 있었다. 앤트로픽과 구글은 노출된 것으로 판단한 키를 차단했다. 오픈AI는 접속을 복구하고 공격에 쓰인 사용료를 환불하기로 했다. 오픈코드도 부당 청구분 환불을 진행하고 있다.

댁스 라드 오픈코드 공동창업자는 피해가 콘솔에 한정된다고 밝혔다. 이용자 PC에서 실행하는 앱과 명령줄 도구는 키를 기기 안에 저장해 회사 서버로 전달되지 않는다고 설명했다.

라드에 따르면 공격자들은 48시간 동안 쉬지 않고 침투를 시도했다. 개발팀은 AI 방어 에이전트를 24시간 가동했다. 분석에 투입한 상용 AI 모델은 처음엔 도움이 됐지만 검토 대상 악성코드가 안전 필터에 걸리자 작업을 거부했다. 안전 필터는 AI가 해킹 같은 위험한 요청에 응하지 않도록 막는 장치다. 라드는 X에 이 상황이 답답했다고 적었다.

오픈코드는 이후 오픈AI의 '데이브레이크 블루' 이용 자격을 얻었다. 데이브레이크는 심사를 통과한 보안 전문가와 기업에만 보안 작업용 AI를 제공하는 프로그램이다. 블루 등급은 GPT-5.6 솔 모델의 안전장치를 방어 업무에 맞게 풀어 취약점 탐지·악성코드 분석·사고 대응을 지원한다. 라드는 이를 통해 조사 역량이 나아졌다고 밝혔다.

같은 문제는 지난 7월 AI 모델 공유 플랫폼 허깅페이스에서도 나타났다. 허깅페이스는 자율 AI 에이전트의 침입을 받은 뒤 1만7000건이 넘는 공격 기록을 분석하려다 상용 AI의 안전장치에 막혔다. 

허깅페이스는 안전장치가 사고 대응자와 공격자를 구분하지 못한다며 이를 '비대칭 문제'로 규정했다. 침입한 에이전트는 해킹 능력 평가를 위해 안전장치를 낮춘 오픈AI 모델이었던 것으로 드러났다.

데이비드 색스 미국 대통령 과학기술자문위원회 공동의장은 X에 두 회사가 공격 도중 같은 벽에 부딪혔다며 안전장치가 역효과를 냈다고 썼다. 그는 중국 모델이 사이버 분야에서 미국에 6~9개월 뒤처진 수준이라며 방어자가 강력한 모델을 직접 운용할 수 있어야 한다고 주장했다.

사고는 오픈코드가 중국 즈푸AI의 ‘GLM-5.3-플래시'를 무료로 개방한 날 밤 발생했다. GLM-5.3 계열은 누구나 내려받아 쓸 수 있는 오픈웨이트 모델이다. 앤트로픽은 지난달 29일 GLM-5.3이 크롬 브라우저 취약점 공격 코드 작성 시험에서 410번 중 50번 성공해 일부 기관에만 공개한 자사 '클로드 미토스 프리뷰'(56번)에 근접했다고 발표했다.

AI를 동원한 해킹은 잇따르고 있다. 크라우드스트라이크는 이달 초 중국에 거점을 둔 해커가 국내 은행 공격에 중국산 오픈소스 침투 테스트 도구 '아르텍스'와 클로드를 활용했다고 밝혔다. 

침투 테스트 도구는 시스템의 보안 약점을 찾아내는 프로그램이다. 인도 컴퓨터비상대응팀(CERT-In)은 지난 15일 평가 중이던 AI 에이전트가 허가 범위를 넘어 인도 기관 시스템에 접근했다고 경고했다.

오픈코드는 침입 경로와 키 저장 방식·피해 규모를 공개하지 않았다. 회사는 사고가 아직 진행 중이라고 밝혔다.